網(wǎng)絡(luò)安全應(yīng)用技術(shù)chapter9安全管理與安全評(píng)估

第9章平安管理與平安評(píng)估本章提要平安管理是以管理對(duì)象的平安為任務(wù)和目標(biāo)的管理網(wǎng)絡(luò)平安需要統(tǒng)一、動(dòng)態(tài)的平安策略，更需要一個(gè)聯(lián)動(dòng)的高效的整體的平安解決方案平安評(píng)估過(guò)程分為：發(fā)現(xiàn)階段、人工檢查階段、漏洞測(cè)試階段、測(cè)試處理過(guò)程階段平安管理的概念平安管理是以管理對(duì)象的平安為任務(wù)和目標(biāo)的管理。平安管理的任務(wù)是保證管理對(duì)象的平安。平安管理的目標(biāo)是到達(dá)管理對(duì)象所需的平安級(jí)別，將風(fēng)險(xiǎn)控制在可以接受的程度。平安管理的重要性一方面，許多平安技術(shù)和產(chǎn)品遠(yuǎn)遠(yuǎn)沒有到達(dá)人們需要的水準(zhǔn)。另一方面，即使某些平安技術(shù)和產(chǎn)品在指標(biāo)上到達(dá)了實(shí)際應(yīng)用的某些平安需求，如果配置和管理不當(dāng)，還是不能真正地實(shí)現(xiàn)這些平安需求。網(wǎng)絡(luò)管理模式〔1〕本地終端方式〔2〕遠(yuǎn)程Telnet命令方式〔3〕基于SNMP的代理/效勞器方式網(wǎng)絡(luò)平安聯(lián)動(dòng)管理“聯(lián)動(dòng)〞的思想在業(yè)界廣為應(yīng)用，聯(lián)動(dòng)是讓網(wǎng)絡(luò)系統(tǒng)中的各層網(wǎng)絡(luò)設(shè)備依據(jù)各自的職責(zé)和功能協(xié)同工作，實(shí)現(xiàn)網(wǎng)絡(luò)平安的監(jiān)控。而聯(lián)動(dòng)中不可無(wú)視的核心點(diǎn)是讓網(wǎng)絡(luò)全民皆兵，要讓交換機(jī)、路由器、IDS、防火墻、用戶管理系統(tǒng)、網(wǎng)元管理系統(tǒng)等擁有統(tǒng)一的溝通機(jī)制。網(wǎng)絡(luò)平安聯(lián)動(dòng)管理的實(shí)現(xiàn)網(wǎng)管系統(tǒng)與IDS和FW聯(lián)動(dòng)網(wǎng)管系統(tǒng)與IDS和FW聯(lián)動(dòng)當(dāng)黑客從終端向效勞器發(fā)出攻擊時(shí)，入侵檢測(cè)系統(tǒng)可以發(fā)現(xiàn)該攻擊并發(fā)送通知給網(wǎng)管系統(tǒng)，網(wǎng)管接到通知后作出響應(yīng)，同時(shí)阻斷防火墻通路，切斷黑客終端的通信流量，保護(hù)效勞器不受攻擊以實(shí)現(xiàn)平安的網(wǎng)絡(luò)隔離。網(wǎng)管與AV和防火墻聯(lián)動(dòng)網(wǎng)管與AV和防火墻聯(lián)動(dòng)假設(shè)外部終端以病毒侵入，向病毒防治工作站發(fā)出病毒檢測(cè)流，病毒防治工作站向網(wǎng)絡(luò)管理系統(tǒng)發(fā)送病毒信息，網(wǎng)管作出響應(yīng)，在終端與病毒防治工作站之間建立一個(gè)專用通道，實(shí)現(xiàn)完整的病毒防治措施和防治系統(tǒng)。平安評(píng)估平安評(píng)估和平安保障一樣是個(gè)復(fù)雜的問(wèn)題，其復(fù)雜性不僅來(lái)源于系統(tǒng)平安本身，更來(lái)源于平安評(píng)估中涉及的角色、責(zé)任、行政管理及流程問(wèn)題。平安評(píng)估類型平安風(fēng)險(xiǎn)評(píng)估：平安風(fēng)險(xiǎn)評(píng)估是應(yīng)用比較廣泛的一種平安評(píng)估方法，是系統(tǒng)風(fēng)險(xiǎn)管理的前期活動(dòng)。平安檢查：平安檢查是信息系統(tǒng)的上級(jí)主管部門或國(guó)家相關(guān)的職能部門對(duì)其所進(jìn)行的一種帶有行政管理性質(zhì)的平安監(jiān)督和檢查，偏重于平安管理方面，最終也對(duì)檢查對(duì)象平安狀況給出相應(yīng)的評(píng)判。系統(tǒng)平安保障等級(jí)評(píng)估：系統(tǒng)平安保障等級(jí)評(píng)估是由一個(gè)具有權(quán)威性的、獨(dú)立的的第三方機(jī)構(gòu)來(lái)進(jìn)行，該機(jī)構(gòu)具有評(píng)估能力的專門技術(shù)部門或?qū)I(yè)實(shí)驗(yàn)室來(lái)進(jìn)行。平安認(rèn)證和認(rèn)可：平安認(rèn)證與認(rèn)可是以系統(tǒng)平安保障等級(jí)評(píng)估為依據(jù)和根底的，它由一個(gè)具有權(quán)威性的、獨(dú)立的、公正公平的第三方認(rèn)證來(lái)對(duì)信息系統(tǒng)進(jìn)行平安認(rèn)證，并由信息系統(tǒng)的主管機(jī)構(gòu)方來(lái)對(duì)該認(rèn)證結(jié)果進(jìn)行認(rèn)可的一個(gè)平安評(píng)估方式。平安評(píng)估方法第一步：發(fā)現(xiàn)階段第二步：人工檢查階段第三步：漏洞測(cè)試階段第四步：測(cè)試處理過(guò)程階段網(wǎng)絡(luò)平安評(píng)估網(wǎng)絡(luò)評(píng)估的第1步是了解網(wǎng)絡(luò)的拓樸。假設(shè)防火墻在阻斷跟蹤路由分組，這就比較復(fù)雜，因?yàn)楦櫬酚善魇怯脕?lái)繪制網(wǎng)絡(luò)拓樸的。第2步是獲取公共訪問(wèn)機(jī)器的名字和IP地址，這是比較容易完成的。只要使用DNS并在ARIN〔AmericanRegistryforInternetNumber〕試注冊(cè)所有的公共地址。最后1步是對(duì)全部可達(dá)主機(jī)做端口掃描的處理。端口是用于TCP/IP和UDP網(wǎng)絡(luò)中將一個(gè)端口標(biāo)識(shí)到一個(gè)邏輯連接的術(shù)語(yǔ)。端口號(hào)標(biāo)識(shí)端口的類型，例如80端口專用于HTTP通信。假設(shè)給定端口有響應(yīng)，那么測(cè)試所有的漏洞。平臺(tái)平安評(píng)估評(píng)估的第1局部是認(rèn)證基準(zhǔn)配置、操作系統(tǒng)、網(wǎng)絡(luò)效勞〔FTP、rlogin、Telnet、SSH等〕沒有變更。黑客首先是將這些文件替換成自己的版本。這些版本通常是記錄管理員的口令，并轉(zhuǎn)發(fā)給Internet上的攻擊者。假設(shè)任何文件需打補(bǔ)丁或需要使用效勞包，代理將通知管理員。第2局部測(cè)試是認(rèn)證管理員的口令，大局部機(jī)器不允許應(yīng)用用戶登錄到平臺(tái)，對(duì)應(yīng)用的用戶鑒別是在平臺(tái)上運(yùn)行的，而不是平臺(tái)本身。此外，還有測(cè)試本地口令的強(qiáng)度，如口令長(zhǎng)度、口令組成、字典攻擊等。最后跟蹤審計(jì)子系統(tǒng)，在黑客作案前就能跟蹤其行跡。當(dāng)然，數(shù)據(jù)庫(kù)的平安評(píng)估也是必須的。應(yīng)用平安評(píng)估應(yīng)用平安評(píng)估比使用像網(wǎng)絡(luò)和平臺(tái)掃描這些自開工具而言，需要更多的技術(shù)根底。黑客的目標(biāo)是得到系統(tǒng)對(duì)應(yīng)用平臺(tái)的訪問(wèn)，強(qiáng)迫應(yīng)用執(zhí)行某些非授權(quán)用戶的行為。很多基于Web應(yīng)用的開發(fā)者使用公共網(wǎng)關(guān)接口〔CommonGatewayInterface，CGI〕來(lái)分析Web效勞器平臺(tái)，黑客能利用很多漏洞來(lái)訪問(wèn)使用CGI開發(fā)的Web效勞器平臺(tái)〔例如放入“&〞這些額外字符〕。低質(zhì)量編寫的應(yīng)用程序的最大風(fēng)險(xiǎn)是允許訪問(wèn)執(zhí)行應(yīng)用程序的平臺(tái)。當(dāng)一個(gè)應(yīng)用損壞時(shí)，平安體系結(jié)構(gòu)必須將黑客包含進(jìn)平臺(tái)。一旦一臺(tái)在公共層的機(jī)器受損，就可用它來(lái)攻擊其他的機(jī)器。最通用的方法是在受損的機(jī)器上安裝一臺(tái)口令探測(cè)器。平安評(píng)估準(zhǔn)那么可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)那么:TCSEC共分為4類7級(jí)：D、C1、C2、B1、B2、B3、A。計(jì)算機(jī)信息系統(tǒng)平安保護(hù)等級(jí)劃分準(zhǔn)那么:第一級(jí)：用戶自主保護(hù)級(jí)第二級(jí)：系統(tǒng)審計(jì)保護(hù)級(jí)第三級(jí)：平安標(biāo)記保護(hù)級(jí)第四級(jí)：結(jié)構(gòu)化保護(hù)級(jí)第五級(jí)：訪問(wèn)驗(yàn)證保護(hù)級(jí)業(yè)務(wù)質(zhì)量與網(wǎng)絡(luò)性能業(yè)務(wù)質(zhì)量〔QoS〕業(yè)務(wù)質(zhì)量QoS全稱QualityofService，根據(jù)ISO9000的定義，“質(zhì)量是指滿足特定需求的一系列固有特性的程度〞。網(wǎng)絡(luò)性能所謂網(wǎng)絡(luò)性能，從業(yè)務(wù)提供者的觀點(diǎn)而言，是指一個(gè)網(wǎng)路可被定義、被測(cè)量及被控制以到達(dá)滿意的業(yè)務(wù)質(zhì)量的特征。網(wǎng)絡(luò)性能參數(shù)IP包傳輸時(shí)延(IPTD)：定義為IP包穿過(guò)一個(gè)根本段或網(wǎng)絡(luò)段集合所經(jīng)歷的時(shí)間，與該包傳送成功與否無(wú)關(guān)。IP包時(shí)延變化(IPDV)：在一段較短的測(cè)量時(shí)間間隔內(nèi)，最大IPTD與最小IPTD的差值。IP包誤差率(IPER)：是錯(cuò)誤IP包傳送結(jié)果與成功IP包傳送加錯(cuò)誤IP包傳送結(jié)果之和的比值。IP包喪失率(IPLR)：是喪失的IP包傳送結(jié)果與所有IP包的比值。虛假IP包率(SPR)：一個(gè)出口節(jié)點(diǎn)的虛假IP包率指在一個(gè)特定時(shí)間間隔內(nèi)在該節(jié)點(diǎn)上觀測(cè)到的虛假IP包數(shù)量除以該時(shí)間間隔。IP包吞吐量(IPPT)：出口節(jié)點(diǎn)的IP包吞吐量等于一個(gè)特定時(shí)間間隔內(nèi)在該節(jié)點(diǎn)上觀測(cè)到的所有成功IP包數(shù)量除以該時(shí)間間隔。網(wǎng)絡(luò)協(xié)議詳細(xì)記錄IPDR(InternetProtocolDetailRecord)：網(wǎng)絡(luò)性能參數(shù)的測(cè)試方法目前IP網(wǎng)絡(luò)性能參數(shù)的測(cè)量方式有兩種：主動(dòng)測(cè)量和被動(dòng)測(cè)量。業(yè)務(wù)質(zhì)量與網(wǎng)絡(luò)性能的關(guān)系

網(wǎng)絡(luò)性能反映網(wǎng)絡(luò)元素的本質(zhì)狀況，而業(yè)務(wù)質(zhì)量是網(wǎng)絡(luò)運(yùn)行狀況的外在表象；

網(wǎng)絡(luò)性能可描述整個(gè)網(wǎng)絡(luò)端到端的特性，也可描